Use for authorized OT/ICS secu…

# 水厂SCADA系统授权安全评估方案（Purdue 0-2层）

一、评估范围与边界确认

• 0层（现场设备）：8台西门子S7-1200 PLC、流量计、液位计、加氯/加药设备、变频器
• 1层（控制层）：PLC本地控制逻辑、本地HMI（如有）
• 2层（监督层）：SCADA服务器、工程师站、OPC/Modbus网关、历史数据库
• 前置条件：确认授权书覆盖范围、测试时间窗口、禁止影响的工艺（如加氯控制）

二、S7-1200 Modbus暴露面排查要点

1. 资产与端口发现

• 使用被动嗅探（交换机镜像口）+ 主机扫描（Nmap -sV）识别：TCP 502（Modbus/TCP）、TCP 102（ISO-on-TCP/S7comm）、TCP 80/443/8080（Web服务器）
• 确认各PLC固件版本（对照西门子已公布漏洞清单，如CVE-2018-11453等Web服务器漏洞）
• 绘制通信矩阵：哪些设备是Modbus主站/从站，谁与水厂外网或第三方系统通信

2. 协议暴露面分析

• 检查Modbus功能码启用情况：重点确认功能码5/6/15/16（写线圈/写寄存器）是否可被非授权节点调用
• S7-1200原生Modbus TCP为从站模式，检查CPU组态中Modbus保持寄存器区访问权限
• 检查是否存在“无源站白名单”配置——S7-1200无原生IP过滤时记录为风险项

3. 典型风险项清单

• 明文协议可被中间人篡改（无认证机制）
• PLC Web界面弱口令或默认凭据
• 工程软件访问（TCP 102）未限制源IP
• 维护用4G路由器/拨号链路直连PLC网段

三、测试方法（授权范围内）

• 被动分析优先：流量镜像采集至少72小时，识别基线通信模式
• 主动验证：在维护窗口使用Mbtget/Modbus Poll验证读写权限；使用S7comm工具验证组态访问控制
• 检查网络分段：VLAN划分、0-2层之间是否部署工业防火墙/单向网闸

四、加固建议

1. Modbus/TCP前置工业防火墙，按通信矩阵做白名单（源IP+功能码级过滤）

2. 关闭PLC嵌入式Web服务器（不使用时），升级固件至已修复版本

3. 关键回路（加药、消毒）启用S7-1200“完整访问保护+专有知识保护”

4. 部署工控审计设备，对写操作（功能码5/6/15/16）实时告警

5. 网络分区：0-1层与2层间划分DMZ，历史数据经单向采集外传

五、交付物

资产清单、通信矩阵图、漏洞与风险分级报告（按CVSS+工艺影响双维度）、加固路线图（分短/中/长期）

注意：全部测试需在授权书明确的时间窗口内进行，写入类验证仅对非生产冗余设备执行。